Confiance et conformité
Comment Ijtimaa se positionne par rapport aux Essential Cybersecurity Controls de la NCA saoudienne, à ISO/IEC 27001 et à SOC 2.
Il s’agit de notre propre auto-évaluation. Ijtimaa n’est pas certifié ISO/IEC 27001 et ne dispose pas encore d’un rapport SOC 2 établi par un auditeur. Utilisez cette page pour comprendre ce que fait le logiciel, et ce qui vous incombe, lorsque vous préparez votre propre évaluation.
Où vos données sont conservées
- Les réunions, enregistrements, notes IA et sous-titres sont traités sur nos propres serveurs et ne sont jamais envoyés à des services d’IA externes.
- Chaque espace de travail dispose d’un journal d’activité, de durées de conservation réglables et d’un rapport de conformité imprimable (Admin › Conformité).
- Intégré à Ijtimaa
- Dépend de l’exploitation du serveur (par vous ou votre hébergeur)
- Pas encore en place : prévu
NCA Essential Cybersecurity Controls (ECC)
L’ECC comprend quatre domaines principaux applicables à un service de ce type. Nous indiquons ce que fait Ijtimaa pour chacun.
| GouvernanceDomaine 1 | Auto-hébergé : la base de données, les enregistrements et les sauvegardes restent sur le serveur de votre choix, dans le Royaume si vous y hébergez le service. Vous définissez la localisation des données affichée aux utilisateurs. Votre organisation reste responsable de ses politiques, de son registre des risques et de ses revues. | Partagé |
|---|---|---|
| Identité et accèsDomaine 2 | Mots de passe hachés avec scrypt ; connexion en deux étapes (application d’authentification) avec codes de récupération ; connexion d’entreprise avec Microsoft, Google ou tout fournisseur d’identité SAML (ADFS, Okta, Entra ID) ; provisionnement et suppression automatiques des utilisateurs (SCIM) ; rôles d’espace de travail (administrateur, membre) ; un espace de travail peut imposer la connexion d’entreprise à ses membres. | Intégré |
| Protection des données en transit et au reposDomaine 2 | HTTPS partout (certificats automatiques) ; audio et vidéo des réunions chiffrés en transit (DTLS-SRTP) ; secrets enregistrés, tels que mots de passe de messagerie, clés de diffusion et jetons d’agenda, chiffrés en AES-256-GCM ; réunions chiffrées de bout en bout en option, où même le serveur vidéo ne peut ni voir ni entendre la réunion. | Intégré |
| Chiffrement des disques et durcissementDomaine 2 | Le chiffrement du disque du serveur, les règles de pare-feu et les mises à jour du système d’exploitation se font sur le serveur. Notre script d’installation active le pare-feu et les mises à jour de sécurité automatiques. | Partagé |
| Supervision et réponse aux incidentsDomaine 2 | Un watchdog intégré surveille l’application, la base de données, le serveur vidéo, le disque et les sauvegardes, et alerte le propriétaire par e-mail. Les connexions et modifications sur le portail propriétaire sont journalisées. Votre équipe gère le processus de réponse aux incidents. | Partagé |
| Résilience et sauvegardesDomaine 3 | Les sauvegardes nocturnes de la base de données sont restaurées dans une base de test pour prouver qu’elles fonctionnent ; les enregistrements font l’objet d’instantanés ; une copie hors serveur peut être activée. 14 jours sont conservés. | Intégré |
| Tiers et cloudDomaine 4 | Aucun service externe d’IA, de sous-titrage ou de vidéo : la reconnaissance vocale, les résumés et la traduction s’exécutent sur le même serveur. Des services externes ne sont utilisés que si vous les connectez (votre serveur de messagerie, vos agendas, les SMS). | Intégré |
ISO/IEC 27001:2022, annexe A
Les mesures de l’annexe A qu’un service de réunion et de réservation peut satisfaire au sein même du logiciel.
| Contrôle d’accès et authentificationA.5.15, A.5.17, A.8.5 | Accès basé sur les rôles pour chaque espace de travail ; connexion en deux étapes ; connexion d’entreprise (SSO) ; sessions qui expirent et peuvent être déconnectées ; limitation du nombre de tentatives de connexion. | Intégré |
|---|---|---|
| Services cloud et fournisseursA.5.19, A.5.23 | Fonctionne sur votre propre serveur ; aucune donnée n’est envoyée à d’autres fournisseurs, sauf si vous en connectez un. | Intégré |
| Vie privée et données personnellesA.5.34 | Les données des invités ne servent qu’à la réservation ; chaque espace de travail définit la durée de conservation des enregistrements, du chat, des sous-titres, des fichiers et des comptes rendus par IA ; les administrateurs peuvent tout exporter, et chacun peut télécharger ou supprimer ses propres données. | Intégré |
| SauvegardesA.8.13 | Chaque nuit, testées par restauration ; copie hors serveur en option. | Intégré |
| Journalisation et supervisionA.8.15, A.8.16 | Les actions du propriétaire sont journalisées et le serveur est surveillé. Un journal d’activité complet, consultable par les administrateurs d’espace de travail, n’est pas encore développé. | Pas encore |
| CryptographieA.8.24 | TLS pour le web et la vidéo ; AES-256-GCM pour les secrets stockés ; liens signés pour les invitations. | Intégré |
| Développement et tests sécurisésA.8.25, A.8.28, A.8.29 | Chaque modification passe nos suites de tests de bout en bout (des centaines de vérifications), y compris des contrôles d’accès entre espaces de travail. | Intégré |
| Tests indépendantsA.5.35, A.8.8 | Nos propres tests de sécurité s’exécutent à chaque modification (audit des dépendances, analyse statique et tests d’attaque sur chaque API : connexion, requêtes intersites, isolation des espaces de travail, injection, SSRF, falsification de jetons). Aucun test d’intrusion par un cabinet externe pour l’instant. | Pas encore |
SOC 2 Trust Services Criteria
Comment le logiciel répond à chaque critère. Un rapport SOC 2 nécessite qu’un auditeur teste votre fonctionnement dans la durée.
| Sécurité : accès logiqueCC6.1–CC6.3 | Rôles, connexion en deux étapes, SSO et isolation des espaces de travail appliquée à chaque requête en base de données. | Intégré |
|---|---|---|
| Sécurité : données en transitCC6.7 | HTTPS et flux multimédias chiffrés ; webhooks uniquement vers des adresses https:// et jamais vers des réseaux privés. | Intégré |
| Sécurité : exploitationCC7.1–CC7.3 | Le watchdog et les alertes sont intégrés ; leur examen et la réponse relèvent de votre processus. | Partagé |
| Gestion des changementsCC8.1 | Les mises à jour se font en une commande et peuvent être annulées proprement ; l’approbation des changements relève de votre processus. | Partagé |
| DisponibilitéA1.2, A1.3 | Redémarrages automatiques, contrôles de santé, sauvegardes testées et script de restauration. | Intégré |
| ConfidentialitéC1.1, C1.2 | Enregistrements et notes réservés à l’organisateur de la réunion ; les limites de conservation suppriment les anciennes données. | Intégré |
| Vie privéeP1–P8 | Une notice de confidentialité, des limites de conservation et la suppression en libre-service sont intégrées ; votre politique de confidentialité et votre processus de consentement vous appartiennent. | Partagé |
Ce qui reste de votre ressort
- Chiffrer le disque du serveur et maintenir le système d’exploitation à jour.
- Activer la connexion en deux étapes pour chaque administrateur, et la connexion d’entreprise (SSO) pour le personnel.
- Conserver une copie de sauvegarde hors serveur et tester sa restauration.
- Consigner par écrit qui peut accéder aux enregistrements et combien de temps vous les conservez.
Besoin de plus d’éléments pour votre évaluation ?
Nous pouvons partager des notes d’architecture et répondre à vos questionnaires de sécurité.
Nous contacter